Configurer le fournisseur de service ONLYOFFICE et le fournisseur d'identité AD FS

Introduction

L'authentification unique ou Single Sign-On (SSO) est une technologie qui permet aux utilisateurs de s'authentifier une seule fois, puis d'accéder à plusieurs applications/services sans avoir à s'authentifier de nouveau.

L'authentification unique repose toujours sur l'opération conjointe de deux applications : un fournisseur d'identité et un fournisseur de service (ci-après dénommés « IdP » et « SP »). ONLYOFFICE SSO implémente uniquement le SP. De nombreux fournisseurs peuvent agir en tant qu'IdP, mais cet article examine l'implémentation Services de fédération Active Directory (AD FS).

Préparer ONLYOFFICE Workspace pour le réglage de l'authentification unique

1. Installez ONLYOFFICE Workspace pour Docker ou toute autre version ultérieure prenant en charge SSO (AD FS est pris en charge à partir de Community Server v9.5).
2. Ajoutez un nom de domaine, par ex. myportal-address.com.
3. Sur votre portail, accédez à Panneau de configuration > HTTPS, créez et appliquez le certificat letsencrypt pour le chiffrement du trafic (pour activer HTTPS sur votre portail).

Préparer AD FS pour la configuration de l'authentification unique

1. Installez la version la plus récente d'AD DS (Service de domaine Active Directory) avec toutes les mises à jour et tous les correctifs officiels.
2. Installez la version la plus récente d'AD FS avec toutes les mises à jour et tous les correctifs officiels.
   Pour déployer AD FS à partir de zéro, vous pouvez suivre ces instructions.
3. Vérifiez que le lien vers les métadonnées AD FS est accessible au public. Pour ce faire,
   1. Dans Server Manager (Gestionnaire de serveur), accédez à Tools -> AD FS Management (Outils -> Gestion AD FS),
   2. Passez à AD FS \ Service \ Endpoints,
   3. Recherchez la ligne de type Federation Metadata dans le tableau. Le lien vers les métadonnées du fournisseur d'identité est construit selon le schéma suivant :

      https://{ad-fs-domain}/{path-to-FederationMetadata.xml}

      

      Vous pouvez également utiliser la commande PowerShell suivante :

      PS C:\Users\Administrator> (Get-ADFSEndpoint | Where {$_.Protocol -eq "FederationMetadata" -or $_.Protocol -eq "Federation Metadata"}).FullUrl.ToString()

      Le résultat doit être un lien au format suivant :

      https://onlyofficevm.northeurope.cloudapp.azure.com/FederationMetadata/2007-06/FederationMetadata.xml

   4. Pour vérifier qu'AD FS fonctionne correctement, ouvrez le lien dans un navigateur web. Le fichier XML doit s'afficher ou se télécharger. Copiez le lien vers le fichier XML de métadonnées : vous en aurez besoin à l'étape suivante.

Configurer le fournisseur de service ONLYOFFICE

1. Assurez-vous que vous êtes connecté à votre Panneau de configuration ONLYOFFICE en tant qu'administrateur et cliquez sur l'onglet SSO dans la section PARAMÈTRES DU PORTAIL de la barre latérale gauche.
   Vous ne pouvez enregistrer qu'un seul fournisseur d'identité d'entreprise pour votre organisation sur le portail ONLYOFFICE.
   
2. Activez l'authentification unique en cliquant sur le commutateur Activer l'authentification unique et collez le lien copié depuis AD FS dans le champ URL vers le fichier XML de métadonnées fournisseur d'identité.
   

   Cliquez sur le bouton de chargement pour charger les métadonnées du fournisseur d'identité. Le fournisseur d'identité AD FS remplira automatiquement les champs du formulaire Paramètres du fournisseur de service ONLYOFFICE.

3. Vous pouvez saisir n'importe quel texte dans le champ Légende personnalisée du bouton de connexion pour remplacer le texte par défaut (Single Sign-on). Ce texte s'affichera sur le bouton de connexion au portail avec le service d'authentification unique sur la page d'authentification ONLYOFFICE.
   
4. Dans le sélecteur NameID Format, choisissez la valeur suivante : urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress.
   
5. Dans la section Certificats publics du fournisseur d'identités \ Paramètres avancés, décochez l'option Vérifier la signature des réponses de déconnexion, car AD FS ne l'exige pas par défaut.
   
6. Ajoutez des certificats dans la section Certificats du fournisseur de service. Vous pouvez générer des certificats auto-signés ou ajouter d'autres certificats.
   Dans la fenêtre Nouveau certificat, définissez le sélecteur Utiliser pour sur l'option signature et chiffrement, car le fournisseur d'identité AD FS est automatiquement configuré pour vérifier les signatures numériques et chiffrer les données.
   

   Le résultat doit être semblable à ce qui suit :

   
7. Dans la section Certificats du fournisseur de service \ Paramètres avancés, décochez l'option Signer les réponses de déconnexion, car AD FS ne l'exige pas par défaut.
   
   Il n'est pas nécessaire d'ajuster le formulaire Mappage d'attributs. Dans la section Paramètres avancés, vous pouvez cocher l'option Masquer une page d'authentification pour masquer la page d'authentification par défaut et rediriger automatiquement vers le service d'authentification unique.
   ImportantSi vous devez restaurer la page d'authentification par défaut (pour pouvoir accéder au portail en cas de panne du serveur de votre fournisseur d'identité), vous pouvez ajouter la clé /Auth.aspx?skipssoredirect=true après le nom de domaine de votre portail dans la barre d'adresse du navigateur.
8. Cliquez sur Enregistrer. La section Métadonnées du fournisseur de service ONLYOFFICE s'affichera.
   

   Vérifiez que les paramètres sont accessibles au public en cliquant sur le bouton Télécharger le fichier XML des métadonnées du fournisseur de services. Le contenu du fichier XML doit s'afficher.

9. Copiez le lien vers les métadonnées du fournisseur de services ONLYOFFICE depuis le champ ID d'entité du fournisseur de service (lien vers le fichier XML des métadonnées) et accédez à la machine où AD FS est installé.
   

Configurer le fournisseur d'identité AD FS

1. Activez l'authentification forte pour des applications .NET.

   Les applications .NET Framework 3.5/4.0/4.5.x peuvent changer le protocole par défaut pour TLS 1.2 en activant la clé de registre SchUseStrongCrypto. Cette clé de registre forcera les applications .NET à utiliser TLS 1.2.

   Pour AD FS sur Windows Server 2016 et Windows Server 2012 R2, vous devez utiliser la clé .NET Framework 4.0/4.5.x : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

   Pour .NET Framework 3.5, utilisez la clé de registre suivante :

   [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727] "SchUseStrongCrypto"=dword:00000001

   Pour .NET Framework 4.0/4.5.x, utilisez la clé de registre suivante :

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319 "SchUseStrongCrypto"=dword:00000001

   

   Vous pouvez également utiliser la commande PowerShell suivante :

   New-ItemProperty -path 'HKLM:\SOFTWARE\Microsoft\.NetFramework\v4.0.30319' -name 'SchUseStrongCrypto' -value '1' -PropertyType 'DWord' -Force | Out-Null

   Pour en savoir plus, veuillez consulter cet article.

2. Dans Server Manager (Gestionnaire de serveur), accédez à Tools -> AD FS Management (Outils -> Gestion AD FS),
   
3. Sur le panneau AD FS Management (Outils -> Gestion AD FS), sélectionnez Trust Relationships > Relying Party Trusts (Relation d'approbation > Approbation de partie de confiance). Cliquez sur l'option Add Relying Party Trust (Ajouter une approbation de partie de confiance) à droite. L'assistant Add Relying Party Trust (Ajouter une approbation de partie de confiance) s'affichera,
   
4. Dans la fenêtre de l'assistant, sélectionnez le bouton radio Import data about the relying party published online or on a local network (Importer les données, publiées en ligne ou sur un réseau local, concernant la partie de confiance), collez le lien précédemment copié vers les métadonnées du fournisseur de service ONLYOFFICE dans le champ Federation metadata address (host name or URL) (Adresse des métadonnées de fédération (nom d'hôte ou URL)) et cliquez sur le bouton Next (Suivant),
   
5. Dans le champ Display name (Nom d'affichage), indiquez un nom quelconque et cliquez sur le bouton Next (Suivant),
   
6. Sélectionnez l'option I do not want to configure multi-factor authentication settings for this relying party trust at this time et cliquez sur le bouton Next,
   
7. Sélectionnez l'option Permit all users to access this relying party et cliquez sur le bouton Next,
   
8. Vérifiez la configuration résultante et cliquez sur le bouton Next (Suivant),
   
9. Laissez l'option par défaut inchangée et cliquez sur le bouton Close (Fermer),
   
10. Une nouvelle fenêtre s'ouvre. Sous l'onglet Issuance Transform Rules (Règles de transformation d'émission), cliquez sur le bouton Add Rule... (Ajouter une règle...),
    
11. Sélectionnez l'option Send LDAP Attributes as Claims (Envoyer des attributs LDAP en tant que revendications) dans la liste Claim rule template (Modèle de règle de revendication) et cliquez sur le bouton Next (Suivant),
    
12. Saisissez un nom dans le champ Claim rule name (Nom de la règle de revendication). Sélectionnez l'option Active Directory dans la liste Attribute store (Magasin d'attributs) et remplissez le formulaire Mapping of LDAP attributes to outgoing claim types (Mappage d'attributs LDAP à des types de revendications sortantes) selon le tableau ci-après. Une fois terminé, cliquez sur Finish (Terminer).

    Attribut LDAP (sélectionnez ou saisissez pour ajouter plus d'options)	Revendication sortante (sélectionnez ou saisissez pour ajouter plus d'options)
    Given-Name	givenName
    Surname	sn
    E-Mail-Addresses	mail
    Telephone-Number	mobile
    Title	title
    physicalDeliveryOfficeName	l

    
13. Dans la fenêtre Edit Claim Rules (Modifier les règles de revendication), cliquez sur le bouton Add Rule (Ajouter une règle) encore une fois, sélectionnez l'option Transform an Incoming Claim (Transformer une revendication entrante) dans la liste Claim rule template (Modèle de règle de revendication) et cliquez sur le bouton Next (Suivant),
    
14. Saisissez un nom dans le champ Claim rule name (Nom de la règle de revendication) et sélectionnez les options suivantes :
    • Incoming claim type (Type de revendication entrante) : mail,
    • Outgoing claim type (Type de revendication sortante) : Name ID,
    • Outgoing name ID format (Format d'ID de nom sortant) : Email
    

    Une fois que vous avez terminé, cliquez sur Finish (Terminer).

    Vous devriez obtenir presque le même résultat :

    

    Si la déconnexion d'AD FS ne fonctionne pas, il est recommandé d'ajouter une règle de revendication personnalisée (Custom Claim Rule) en remplaçant {portal-domain} par votre domaine du fournisseur de service et {ad-fs-domain} par votre domaine du fournisseur d'identité :

    c:[Type == "mail"]
     => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "http://{ad-fs-domain}/adfs/services/trust", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "https://{portal-domain}/sso/metadata");

    
15. Cliquez sur OK.
16. Pour autoriser l'authentification unique depuis l'intranet, activez l'option Forms Authentication (Authentification par formulaires) dans Edit Global Authentication Policy (Modifier la stratégie d'authentification globale) (menu contextuel AD FS / Authentication Policies (AD FS / Stratégies d'authentification)),
    
17. Ouvrez les propriétés de la partie utilisatrice que vous venez de créer et passez à l'onglet Advanced (Avancé),
    

    Sélectionnez l'option SHA-1 dans la liste Secure hash algorithm (Algorithme de hachage sécurisé).

    

Vérifier le fonctionnement du fournisseur de service ONLYOFFICE avec le fournisseur d'identité AD FS

Profils des utilisateurs qui sont créés via l'authentification unique

La modification des profils utilisateur créés via l'authentification unique est limitée. Les champs du profil utilisateur reçus du fournisseur d'identité ne peuvent pas être modifiés (c.-à-d. First Name (Prénom), Last Name (Nom), Email, Title (Titre) et Location (Emplacement)). Vous ne pouvez modifier ces champs que depuis votre compte du fournisseur d'identité.

La figure ci-dessous illustre le menu Actions pour un utilisateur SSO:

La figure suivante illustre le profil d'utilisateur SSO à modifier:

Les utilisateurs créés via l'authentification unique sont marqués de l'icône SSO dans la liste des utilisateurs pour les administrateurs du portail :